Blockchainonderzoeker ZachXBT meldde dinsdag dat de nog steeds niet openbaar gemaakte cryptoschade bij een naamloze West-Europese instelling is opgelopen tot meer dan 133 miljoen dollar, tegenover het bedrag van 106 miljoen dollar dat hij een dag eerder noemde. ZachXBT, die eerder al openbaarmakingen heeft afgedwongen door crypto-inbreuken publiek te maken, beweert nu dat de betrokken EU-entiteit de inbreuk verhult in plaats van deze te melden bij de EU-autoriteiten.

Verbergt een EU-bank een crypto-hack?

In een bericht op zijn Telegram-kanaal dinsdag vroeg schreef ZachXBT: "Mijn werkhypothese is dat een grote financiële instelling in West-Europa is gehackt en dat dit momenteel wordt verhuld."

Volgens de onderzoeker staat de schatting van het verlies nu op 133 miljoen dollar, nadat nog eens 27 miljoen dollar aan opnames via gecentraliseerde exchanges is verwerkt. De opnames zijn zelfs doorgegaan na zijn eerste openbaarmaking op maandag.

Ondanks herhaalde meldingen van het incident is het slachtoffer niet bij naam bekend, en de bewering over de verhulling is onafhankelijk niet geverifieerd.

ZachXBT vermoedt geen betrokkenheid van de Noord-Koreaanse Lazarus Group, de eenheid die in verband wordt gebracht met veel van de grootste inbreuken in de cryptosector; volgens hem lijkt het witwaspatroon niet op de routes die de groep doorgaans gebruikt. Hij merkte ook op dat meer dan 30 miljoen dollar van de vermoedelijk gestolen fondsen binnen het bevriesnetwerk van de EU zou zijn gevallen als het incident was gemeld.

Drie exchanges in één dag leeggetapt

Het analysebedrijf Bitquery, dat een eigen onderzoek naar de diefstal publiceerde, spoorde 108,8 miljoen dollar dat aan het incident is gekoppeld, on-chain. De overdrachten begonnen op zondag 1 november en tapten in ongeveer 21 uur accounts bij Kraken, Crypto.com en OKX leeg.

Het grootste deel van het geld werd als USDC verplaatst naar 15 wallets, waarvan 11 door diezelfde exchanges eerder waren betaald. Dat detail bracht Bitquery tot de conclusie dat de aanvaller over de sleutels en exchange-inloggegevens van het slachtoffer beschikte, waarbij de werkhypothese is dat de aanvaller de apparaten van de eigenaar heeft gecompromitteerd, of op zijn minst een apparaat van iemand uit het team van het slachtoffer.

Acht van de gecompromitteerde wallets waren Trust Wallet smart accounts. Bitquery benadrukte dat het incident niet duidt op een fout in de Trust Wallet-app.

Na de diefstal werden de fondsen snel verplaatst van bevriesbare naar niet-bevriesbare activa. Ongeveer 62,98 miljoen dollar aan stablecoins werd in ongeveer vier uur tijd via UniswapX omgewisseld in 27.553 ETH en vervolgens verplaatst naar Monero (XMR), een privacycoin die is ontworpen om transactiegegevens te verbergen, en via bridges.

Volgens Bitquery lag op 2 november om 13:47 UTC nog ongeveer 78,3 miljoen dollar op Ethereum in wallets die aan de aanvaller zijn gekoppeld, terwijl de wallet van de aanvaller nog steeds 3,74 miljoen dollar in USDC aanhoudt — geld dat Circle nog kan bevriezen.

Waarom een bankslachtoffer anders ligt

ZachXBT's hypothese wijst op een categorie bedrijven die pas recentelijk de markt is betreden. Europese banken hebben in 2026 onder de regelgeving voor crypto-activa van de bloc een beweging naar crypto gemaakt, en geldverstrekkers maken per september bijna 23% uit van de crypto-asset dienstverleners op het MiCA-register van de EU. Deutsche Bank, de grootste bank van Duitsland, heeft zich gericht op MiCA-goedkeuring voor bewaring van digitale activa. MiCA-autorisatie maakt deze verschuiving mogelijk: gelicentieerde crypto-asset dienstverleners kunnen diensten zoals bewaring en exchange aanbieden, en zo zijn geldverstrekkers van toeschouwers naar directe beheerders van digitale activa van klanten gegaan.

Eerder meldde Cryptopolitan in een eerder bericht over de aftapping van 106 miljoen dollar hetzelfde patroon dat ook bij de hacks van Binance en Bitget werd gezien: aanvallers wisselen stablecoins om in Ether en privacycoins voordat Circle of Tether kan ingrijpen.

De kwestie van openbaarmaking

De beschuldiging van verhulling weegt het zwaarst als het slachtoffer een financiële entiteit is. Volgens de Europese Digital Operational Resilience Act (DORA), die sinds 17 januari 2025 van kracht is, moeten financiële bedrijven, waaronder crypto-asset dienstverleners, grote ICT-gerelateerde incidenten melden bij toezichthouders via een eerste waarschuwing, een vervolgupdate en een afsluitend rapport, aldus de Franse marktwaakhond, de AMF.

Het punt van ZachXBT is dat de vertraging een directe kostenpost vormde: zonder openbaarmaking, stelt hij, is ongeveer 30 miljoen dollar buiten bereik geraakt die de autoriteiten hadden kunnen bevriezen. Of een door DORA gedekte entiteit betrokken is, blijft onbevestigd, en geen enkele toezichthouder heeft een slachtoffer bij naam genoemd. Voorlopig draait het verhaal om een korte lijst met openstaande feiten: de identiteit van de instelling, of een toezichthouder bevestigt een incidentrapport te hebben ontvangen, en of de resterende bevriesbare USDC wordt bevroren of wordt omgezet in activa die geen enkele issuer kan raken.